Сегодня днем, 27 июня, крупные украинские компании заявили об очередных проблемах, обусловленных новой волной вируса-вымогателя. В последствии сообщения о блокировках начали поступать из России, США и Европы.
В списке жертв по состоянию на 17:00:
- Кабинет министров Украины;
- Укрпочта и Новая почта;
- Мобильные операторы Vodafone и Киевстар;
- Банки «Ощадбанк», «Укргазбанк», «Пивденный», «Такскомбанк», «ОТП Банк»;
- Издания «Корреспондент», «24 канал»
- Киевский метрополитен;
- Украинские железные дороги;
- Укртелеком;
- Эпицентр.
Ближе к вечеру появились сообщения и том, что вирус распространился на Российские компании, среди них:
Вирус поразил тысячи компьютеров на предприятиях и у частных пользователей в Украине, России, Польше, Италии, Германии, Беларуси (страны указаны в порядке уменьшения количества заражений) и других странах.
Точное название вируса еще не установлено, наиболее вероятной версией является «Petya.A».
Вирус требует эквивалент 300$ в биткоинах, о фактах разблокирования файлов после совершения оплаты пока не сообщалось.
Специалист по кибербезопасности Владимир Стыран рассказал, что первоначальное заражение происходит через фишинговые сообщения (файл Петя.apx) или обновления бухгалтерской программы M.E.doc. Затем вирус распространяется по локальной сети «через DoblePulsar и EternalBlue, аналогично методам WannaCry».
Пострадали некоторые компьютеры ЧАЭС. Ничего страшного. Большую часть отключили, чтобы избежать распространения. Не работает электронный документооборот. Радиационной опасности нет, но пока нет возможности отправлять рапорты с показателями, т.к. использовали электронную почту.
Актуальный список компаний, пострадавших от вируса
Немецкий почтовый провайдер Posteo закрыл почтовый ящик Этот адрес электронной почты защищён от спам-ботов. У вас должен быть включен JavaScript для просмотра. хакера, ответственного за вирусную эпидемию криптовымогателя Petya/PetrWrap. Таким образом, жертва даже отправив запрошенную сумму в биткоинах, не сможет сообщить об этом хакеру — и не сможет получить от него ключ.
«Мы не терпим злоупотреблений нашей платформой: немедленная блокировка почтовых аккунтов со злоупотреблениями — необходимая мера со стороны провайдеров в таких случаях», — сказано в сообщении Posteo.
Согласно инструкции криптовымогателя, жертва должна отправить биткоины стоимостью около $300 на указанный адрес 1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX и сообщить автору по электронной почте свой идентификатор кошелька и «персональный ключ установки». Теперь связаться с ним невозможно.
В сообщении криптовымогателя также говорится, что нет никакой иной возможности восстановить зашифрованные файлы, кроме покупки ключа: «Не тратьте своё время. Никто не может восстановить ваши файлы без нашего дешифровального сервиса». Специалисты «Лаборатории Касперского» согласны с такой оценкой: расшифровать шифр AES-128 самостоятельно не получится, если только в схеме шифрования не допущена ошибка.
Судя по всему, для каждой жертвы генерируется уникальный ключ установки. Это позволяет автору выдать персональный ключ для дешифрования файлов. На данный момент выкуп заплатила 41 жертва на общую сумму 3,75188571 BTC ($9442).
Не все специалисты по безопасности одобряют такое решение немецкого почтового провайдера: «Идиоты… Блокировка почты не остановит заражения, но жертвы теперь гарантированно не получат назад свои файлы, даже если они хотели заплатить», — написано в твиттере антивирусной группы MalwareHunterTeam.
Хотя агрессивные действия немецкого почтового провайдера не облегчат жизнь несчастных жертвам заражения, но это кажется необходимым подходом для предотвращения подобных преступлений в будущем. Преступники должны знать, что их почтовые адреса будут заблокированы и денег они всё равно не получат.
Ransomware работает с диском на низком уровне, с полной потерей доступа к файлам тома для пользователя.
У Petya обнаружена также специальная схема маскировки для скрытия активности. Изначально криптовымогатель запрашивает у пользователя активацию UAC, маскируясь под легальные приложения. Как только расширенные привилегии получены, зловредное ПО начинает действовать. Как только том зашифрован, криптовымогатель начинает требовать у пользователя деньги, причем на выплату «выкупа» дается определенный срок. Если пользователь не выплачивает средства за это время, сумма удваивается. «Поле чудес», да и только.
Найден способ остановить шифрование — цитата для тех, кто еще не читал пост на хабре:
